删除|案例研究?易安联 X 某省级运营商：零信任安全体系建设实践( 三 ) 软件

第二，降低敏感系统暴露面。减少业务应用在互联网及DCN网中的暴露面，进而减少非授权访问、漏洞利用等恶意攻击；
第三，提升终端数据安全管控能力。基于安全工作空间技术、终端轻量DLP技术，实现敏感数据流转可管、可控、可审计；
第四，完善业务访问风险控制机制。基于零信任理念，通过最小化授权，动态访问控制保证业务访问的安全性。
02解决方案零信任安全体系的技术架构是一个典型的SDP三角形架构，包含终端客户端、零信任防控中心以及安全网关转发控制面板分离的体系，提供客户端整体能力，包括零信任客户端、终端环境感知模块，数据安全工作空间则是为A运营商实现从访问控制-应用接入-数据安全的全流程打通和数据管控。
所有的用户认证和权限都是对接现有4A系统，充分利用A运营商现有的安全能力，将运营商内部的威胁情报动态感知平台、数据安全审计平台上相关的日志访问数据同步到零信任风险模型中，构建大而全的用户画像分析，实现更准确的动态决策评估和策略制定。
零信任能力建设分三个步骤完成：
首先，从IPDR角度完成资产识别和业务识别，资产识别包括终端管理、账号管理、漏洞管理，业务识别包括业务系统识别、敏感数据识别、数据接口管理；完成访问主体和客体的识别后进行安全防护，包括可信身份、终端管控、网络安全、应用安全、数据安全，基于运营商当前的安全建设能力和用户实际需求，推荐不同的积木模块完成零信任基本框架的构建。
其次，完成安全策略的检测，逐渐基于用户需求以及试运行的结果调整安全策略模块。
最后，考虑将更多的PEP节点加入到零信任体系中，统一接受零信任管理，来构建纵深防护能力。
从业务角度看，零信任建设分为三部曲：
阶段1：可知。重点是搭建零信任基础架构，建立基本的资产管理和访问准入能力。
阶段2：可管。重点是建设零信任安全风险管控模型，实现动态访问控制。
阶段3：可感。重点是构建零信任安全大脑，建立完善的风险识别体系。
从全省的网络安全接入平台架构上看，包括5个零信任安全网关的部署架构点。各地市分配两个网关资源池，实现主主备份的冗余能力。各地市匹配最优链路，地市用户就近分配网关，快速访问，当网络拥塞、故障或网关故障等情况发生时，支持快速切换至临近网关，实现正常的业务访问。同时，为了保证平台高可用，所用零信任网络采用基于云的容器化部署，可弹性扩展，保障业务访问。
针对体系内不同人员的接入场景，包括自有员工、三方人员、各地市营业网点业务办理，后端流程上存在差异化。
首先，所有用户接入后通过现有4A认证服务平台获取认证和权限、通过终端安全管控平台获取终端的安全态势评估，将所有数据对接到零信任控制中心，控制中心将安全策略下发到不同的零信任安全网关中，用户可以通过安全网关访问后端的业务系统。在运营商体系中，很多场景需要通过堡垒机访问，通过对接4A账号、堡垒以及访问资源对应关系的列表，以实现最小化授权。
在零信任安全项目中，易安联为A运营商建设了可信身份、终端安全、应用安全、动态管控、数据安全、业务安全、权限智能学习等能力，具体来看：
（1）可信身份：综合身份验证方法
易安联提供SIM卡或账密首次认证，结合零信任设备认证、二次认证及人机交互验证，双重保障，确保只有身份可信的用户使用已纳管的设备才能够进入零信任网络中，杜绝账号借用、异地使用等行为。